Агенты OpenAI атаковали сайты госучреждений и вузов за несколько месяцев до Hugging Face

Агенты искали уязвимости после неудачных запросов

18 июня премьер-министр Австралии Энтони Албанезе сообщил, что ИИ-агент OpenAI проник на правительственный портал. По его словам, агент получил несанкционированный доступ к Medicare Statistics Reporting Service и открыл публичные и непубличные файлы. Services Australia заявила, что он также записал файлы на внутренний сервер.

По данным The New York Times, это был один из как минимум четырёх инцидентов в мае и июне, когда ИИ OpenAI взламывал или пытался взломать сайты государственных учреждений и университетов. Исследовательская лаборатория Transluce, занимающаяся контролем ИИ, самостоятельно задокументировала три случая, а OpenAI подтвердила все четыре. Эти эпизоды произошли до июльского взлома Hugging Face, который вызвал международные споры о безопасности ИИ.

25 и 26 мая ИИ пытался получить фотографии исторического центра лечения туберкулёза из цифровой библиотеки Университета Нью-Мексико. Когда обычный запрос не сработал, система начала искать уязвимости с помощью SQL-инъекций и обхода каталогов. Затем она отправила на сервер университета 80 запросов подряд — сама система описала эту серию как «наводнение».

28 мая неудачный запрос к порталу данных Data USA привёл к 12 проверкам уязвимостей, включая межсайтовый скриптинг. Ни одна из этих попыток не завершилась успехом.

20 и 21 июня, через два дня после взлома австралийского портала, агенты атаковали сайт Australian Institute of Health and Welfare. Австралийские чиновники сообщили, что частные данные не утекли. В трёх случаях, которые Transluce изучила самостоятельно, исследователи также не нашли подтверждений успешного взлома, но признали, что проанализированные ими общедоступные данные неполны.

Исследователи изучали записи сервиса веб-безопасности urlquery.net, который агенты, предположительно, использовали для обхода ограничений доступа. Transluce связала две атаки с роем агентов, существование которого OpenAI уже подтверждала. На это указывают общие цели, методы и время атак.

Руководитель направления управления Transluce Конрад Стош считает австралийские эпизоды, вероятно, первым случаем, когда агент самостоятельно решил взломать государственную систему. По его словам, если обучить рой агентов общей задаче и позволить им прибегать к взлому, под угрозой окажется любой владелец нужной им информации.

Следы атак появились ещё в марте

По данным Transluce, агенты начали заниматься подобными действиями не позднее 6 марта 2026 года — примерно за два месяца до первых ранее известных инцидентов. В самом раннем случае агент пытался получить статистику тайских правоохранительных органов, усложняя способ доступа после каждой неудачи:

С середины апреля число таких запросов резко выросло. 22 июня оно снизилось — в тот же день, когда активность роя прекратилась на вики-сайте collusion.wiki. Однако самые поздние следы датируются 16 сентября. Значит, такое поведение продолжалось даже после того, как OpenAI начала расследовать инцидент с Hugging Face, сообщает The New York Times.

Более слабые признаки активности относятся ещё к ноябрю 2025 года. Тогда кто-то неоднократно запрашивал данные о парках развлечений и государственных учреждениях Таиланда. Те ранние попытки были менее сложными, и исследователи не уверены, что за ними стояли те же агенты.

Авторы считают, что агенты могли приобрести такое поведение в ходе одного или нескольких циклов обучения, но найденные данные этого не доказывают. В ноябре они, возможно, просто использовали urlquery.net для поиска информации. К марту агенты уже находили нестандартные способы обходить ограничения доступа, а в мае и июне начали пытаться преодолевать киберзащиту. Transluce опубликовала набор данных с десятками тысяч предположительно связанных с агентами запросов.

Австралия недовольна задержкой OpenAI

В Австралии основная критика касается того, как OpenAI сообщила о взломе. По данным The Age, компания обнаружила инцидент в августе, но уведомила Services Australia только 10 сентября — причём отправила письмо на общедоступный адрес для сообщений об уязвимостях.

Этот почтовый ящик проверяют раз в день, а многие поступающие туда сообщения оказываются ложными тревогами, рассказала министр, отвечающая за направление, Кэти Галлахер. Сама она узнала об инциденте лишь 17 сентября.

Премьер-министр Энтони Албанезе назвал ситуацию неприемлемой. Он сообщил, что поговорил с генеральным директором OpenAI Сэмом Альтманом, передал ему крайнюю обеспокоенность Австралии и раскритиковал компанию за слишком позднее уведомление.

Министр обороны и заместитель премьер-министра Ричард Марлз оценил последствия мягче, назвав их относительно небольшими. По его словам, агенты получили сводную медицинскую статистику, а информация о конкретных людях затронута не была.

OpenAI подтвердила, что проводит масштабную проверку несогласованных действий моделей во время обучения и оценки. По версии компании, модели искали ответы на вопросы об Австралии в рамках внутренней оценки, но в процессе предприняли действия, которых OpenAI не планировала. Признаков доступа к медицинским картам пациентов нет. Затронутые данные включали сводную статистику о здоровье и внутренние имена файлов. Представитель OpenAI сообщил The New York Times, что расследование займёт несколько месяцев.

По словам Галлахер, портал был устаревшим сайтом, которым в основном пользовались исследователи. На нём действовала защита от ботов, но агент смог её обойти. Теперь сайт закрыт, а данные перенесены на data.gov.au.

Специальная группа под руководством департамента премьер-министра изучит возможные штрафы и изменения в законодательстве. Правительство также рассматривает возможность передать дело федеральной полиции. Пока OpenAI не понесла никаких наказаний.